根据积极利用的证据，美国网络安全和基础设施安全局 (CISA) 在其已知利用漏洞目录中增加了两个漏洞。
其中一个已经在 Windows 支持诊断工具 (MSDT) 中作为零日漏洞花费了两年多的时间，并且它具有公开可用的漏洞利用代码。
这两个安全问题都获得了高严重性评分，并且是目录遍历漏洞，可以帮助攻击者在目标系统上植入恶意软件。
Windows DogWalk 错误
官方跟踪为CVE-2022-34713，非正式地称为 DogWalk，MSDT 中的安全漏洞允许攻击者将恶意可执行文件放入 Windows 启动文件夹。
该问题最初是由研究员 Imre Rad于 2020 年 1 月向微软报告的，但他的报告被错误地归类为未描述安全风险，因此被驳回。
今年，安全研究员 j00sean 再次引起了公众的关注，他总结了攻击者可以通过利用它实现的目标，并提供了视频证明：
成功的利用需要用户交互，这是一个很容易通过社会工程克服的障碍，尤其是在电子邮件和基于 Web 的攻击中，微软在今天的一份咨询中表示：
在电子邮件攻击场景中，攻击者可以通过向用户发送特制文件并诱使用户打开文件来利用该漏洞。
在基于 Web 的攻击情形中，攻击者可能拥有一个网站（或利用接受或托管用户提供的内容的受感染网站），其中包含旨在利用该漏洞的特制文件。
自 6 月初以来，0patch 微补丁服务已为大多数受影响的 Windows 版本（Windows 7/10/11 和 Server 2008 至 2022）提供了一个非官方补丁。
作为2022 年 8 月 Windows 安全更新的一部分，微软今天解决了 CVE-2022-34713 。该公司指出，该问题已在攻击中被利用。
UnRAR 漏洞被利用
添加到 CISA 的已知已利用漏洞目录的第二个漏洞被跟踪为CVE-2022-30333，它是用于 Linux 和 Unix 系统的 UnRAR 实用程序中的路径遍历错误。
攻击者可以利用它在解压操作期间将恶意文件提取到任意位置，从而在目标系统上植入恶意文件。
瑞士公司 SonarSource于 6 月下旬在一份报告中披露了该安全问题，该报告描述了如何将其用于远程执行代码，从而在未经身份验证的情况下破坏 Zimbra 电子邮件服务器。
本月早些时候，利用代码已添加到 Metasploit 渗透测试软件中。
对于这两个漏洞，美国的联邦机构预计将在 8 月 30 日之前应用供应商的更新
转载请注明：VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » CISA警告Windows和UnRAR漏洞在野外被利用
